Последствия порнобаннера

**BABAX** · 05.08.2010, 18:21

Добрый день. После удаления баннера невозможно зайти на какие-либо антивирусные сайты. Логи прикреплены. Заранее признателен за помощь.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Никита Соловьев** · 05.08.2010, 18:29

Пофиксите в hijackthis:

Код:

F2 - REG:system.ini: UserInit=D:\WINDOWS\SYSTEM32\userinit.exe,D:\WINDOWS\system32\sdra64.exe,

Выполните скрипт в AVZ:

Код:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('D:\WINDOWS\system32\sfcfiles.dll',' ');
 QuarantineFile('D:\WINDOWS\system32\sfcfiles.dll.BAK','');
 QuarantineFile('D:\WINDOWS\system32\wuapi.dll.wusetup.115546.bak','');
 QuarantineFile('D:\WINDOWS\system32\wuauclt.exe.wusetup.115906.bak','');
 QuarantineFile('D:\WINDOWS\system32\mstask.dll','');
 QuarantineFile('D:\WINDOWS\system32\x','');
 QuarantineFile('D:\WINDOWS\system32\rjuq.mpo','');
 QuarantineFile('D:\WINDOWS\system32\jriw.eao','');
 DelCLSID('Windows Sidebar');
 QuarantineFile('D:\WINDOWS\system32\sdra64.exe','');
 QuarantineFile('D:\WINDOWS\System32\Drivers\sfc.SYS','');
 QuarantineFile('d:\windows\system32\notepad.exe','');
 DeleteFile('D:\WINDOWS\System32\Drivers\sfc.SYS');
 DeleteFile('D:\WINDOWS\system32\sdra64.exe');
 DeleteFile('D:\WINDOWS\system32\jriw.eao');
 DeleteFile('D:\WINDOWS\system32\rjuq.mpo');
 DeleteFile('D:\WINDOWS\system32\x');
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенный карантин" над первым сообщением темы)

Сделайте новые логи

**BABAX** · 05.08.2010, 19:13

Вот новые логи.Карантин отправил,но в 1ый раз как-то неправильно сделал.Прошу прощения.

**Никита Соловьев** · 05.08.2010, 19:36

Пофиксите в hijackthis:

Код:

O20 - AppInit_DLLs: ,

Выполните скрипт в AVZ:

Код:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('D:\WINDOWS\I386\SVCPACK\DTShEx.exe','');
 QuarantineFile('D:\WINDOWS\System32\Drivers\sfc.SYS','');
 DeleteFile('D:\WINDOWS\System32\Drivers\sfc.SYS');
 RenameFile('D:\WINDOWS\System32\sfcfiles.dll','D:\WINDOWS\System32\sfcfiles.bak');
 RenameFile('D:\WINDOWS\system32\sfcfiles.dll.BAK','D:\WINDOWS\system32\sfcfiles.dll');
 DeleteFile('D:\WINDOWS\System32\sfcfiles.bak');
 BC_ImportALL;
 ExecuteSysClean;
 ExecuteRepair(13);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенный карантин" над первым сообщением темы)

Сделайте новые логи

**BABAX** · 06.08.2010, 11:25

Добрый день. Новые логи во вложении.Карантин был загружен.Спасибо

**polword** · 06.08.2010, 11:40

- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteFile('D:\WINDOWS\system32\sfcfiles.bak');
 DeleteFile('D:\WINDOWS\system32\sfcfiles.dll.BAK');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(13);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Сделайте лог MBAM

**BABAX** · 06.08.2010, 14:45

Новые логи во вложении.Спасибо

**Никита Соловьев** · 06.08.2010, 15:04

Удалите всё, что нашел МВАМ. Перезагрузите ПК. Сделайте новый лог.

Готовьтесь к установке SP3, IE8 и прочих обновлений безопасности, иначе лечение никогда не закончится

**BABAX** · 24.08.2010, 18:54

Добрый день.Прошу прощения за длительное молчание.Новый лог МБАМ во вложении. К сожалению на данный момент возникла следующая проблема - не запускаются ни AVZ ни HiJack. Окно открывается на секунду - две и снова закрывается. Всё что нашёл MBAM было удалено.

**polword** · 24.08.2010, 19:17

сделаем давайте так:
- скачайте AVPtool
- сделайте лог в нём

**BABAX** · 25.08.2010, 15:28

Добрый день.Лог AVP во вложении.Заранее признателен за ответ.

**polword** · 25.08.2010, 17:54

- выполните скрипт в AVPTool

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
 QuarantineFile('D:\WINDOWS\system32\mssfc.dll','');
 QuarantineFile('D:\WINDOWS\system32\uxetpd.exe','');
 QuarantineFile('D:\WINDOWS\system32\786ae17a.exe','');
 QuarantineFile('D:\WINDOWS\system32\39555f0a.exe','');
 DeleteFile('D:\WINDOWS\system32\39555f0a.exe');
 DeleteFile('D:\WINDOWS\system32\786ae17a.exe');
 DeleteFile('D:\WINDOWS\system32\uxetpd.exe');
 DeleteFile('D:\WINDOWS\system32\mssfc.dll');
 QuarantineFile('C:\WINDOWS\System32\sfcfiles.dll','');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive('C:\quarantine.zip'); 
 end.

- Файл quarantine.zip из корня диска С загрузите по ссылке Прислать запрошенный карантин вверху темы
- Скачайте RSIT тут. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.
- Сделайте повторные логи по правилам п.1-3 раздела Диагностика.(virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log)

**BABAX** · 26.08.2010, 12:22

добрый день.Огромное спасибо за помощь.Новые логи во вложении.Карантин также был отправлен.

**polword** · 26.08.2010, 13:37

Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
 DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
 RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\Generic Host for Win32 Services');
 RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\plugin');
 QuarantineFile('D:\WINDOWS\system32\jtxaotf.exe','');
 DeleteFile('D:\WINDOWS\system32\jtxaotf.exe');
 DeleteFile('D:\Program Files\Common Files\keylog.txt');
 QuarantineFile('%windir%\system32\Drivers\sfc.SYS','');
 DeleteFile('%windir%\system32\drivers\sfc.sys');
 DeleteFile('%windir%\system32\mssfc.dll');
 RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
 if FileExists ('%windir%\system32\dllcache\sfcfiles.dll') then
   begin
    if CheckFile('%windir%\system32\dllcache\sfcfiles.dll')=3 then
      begin
       CopyFile('%windir%\system32\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
       AddToLog('Замена sfcfiles.dll успешно произведена из кеша');
       SaveLog('sfcfiles.log');
      end
     else
      begin
       AddToLog('файл sfcfiles.dll в кеше не прошел по базе безопасных');
       SaveLog('sfcfiles.log');
       if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
         begin
          if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
            begin
             CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
             AddToLog('Замена sfcfiles.dll успешно произведена из i386');
             SaveLog('sfcfiles.log');
            end
           else 
            begin
             AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
             SaveLog('sfcfiles.log');
            end;
         end
        else
         begin
          AddToLog('Файл sfcfiles.dll отсутствует в i386');
          SaveLog('sfcfiles.log');
         end;
      end;
   end
  else
   begin
    AddToLog('Файл sfcfiles.dll отсутствует в кеше');
    SaveLog('sfcfiles.log');
    if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
      begin
       if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
         begin
          CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
          AddToLog('Замена sfcfiles.dll успешно произведена из i386');
          SaveLog('sfcfiles.log');
         end
       else 
        begin
          AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
          SaveLog('sfcfiles.log');
        end;
      end
     else
      begin
       AddToLog('Файл sfcfiles.dll отсутствует в i386');
       SaveLog('sfcfiles.log');
      end;  
   end;
 DeleteFile('%windir%\system32\sfcfiles.bak');
 BC_ImportALL;
 ExecuteSysClean;
 BC_DeleteFile('%windir%\System32\sfcfiles.bak');
 BC_DeleteSvc('sfc');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторный лог virusinfo_syscheck.zip
- файл sfcfiles.log прикрепите к сообщению

**BABAX** · 26.08.2010, 14:10

Новые логи во вложении.Карантин отправлен.

**polword** · 26.08.2010, 14:25

В логах чисто. Если ничего больше не беспокоит, обновляйте систему:
- Установите Internet-Explorer 8.(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - тут

**BABAX** · 26.08.2010, 14:27

Понял.Огромное спасибо.

**CyberHelper** · 27.08.2010, 14:27

Статистика проведенного лечения:

Получено карантинов: 4
Обработано файлов: 25
В ходе лечения обнаружены вредоносные программы:
1. d:\windows\system32\sfcfiles.bak - Trojan.Win32.Patched.fr ( DrWEB: Trojan.WinSpy.641, BitDefender: Trojan.Generic.3017090, AVAST4: Win32:Patched-KP [Trj] )
2. d:\windows\system32\sfcfiles.dll - Trojan.Win32.Patched.fr ( DrWEB: Trojan.WinSpy.641, BitDefender: Trojan.Generic.3017090, AVAST4: Win32:Patched-KP [Trj] )

Последствия порнобаннера (заявка № 84664)

Опции темы